我一直在研究与安全相关的议题，并查看了phpMyAdmin的源代码，看看在一个成熟的应用中是如何处理的。

我查看了位于 "PATH\phpMyAdmin-5.2.2-all-languages\libraries\classes\Session.php" 的代码，它的内容如下：

    /**
     * Token which is used for authenticating access queries.
     * (we use "space PMA_token space" to prevent overwriting)
     */
    if (! empty($_SESSION[' PMA_token '])) {
        return;
    }

在数组键名中使用空格（SPACE）在什么情况下是正确/必要的？

开发者在写这段注释时心里设想的会是哪种覆盖？这是不是出于安全方面的考虑？我在自己的代码中应该在什么情况下这样做？

解决方案

PMA_token，正如注释所述，是用来对访问查询进行身份验证的。可以通过源码仔细研究它。你引用的注释里对名称前后空格的说明如下：

（我们使用 "space PMA_token space" 来防止覆盖）

在数组键名中使用空格本身既不是“好”也不是“坏”的做法。没有什么可以阻止你这样做：

$_SESSION[' PMA_token '] = "your new value";

这就意味着它会被覆盖。因此，从注释中可以看出，开发者假设在名称前后添加空格就能防止该名称被覆盖，但并不是因为它提供了某种特殊保护。真正的原因很可能是很难想象有人会把PMA_token写成前后带空格的名称，但你可以在任意数组名称中添加arpad，这样被覆盖的可能性会非常低。